我们将在本次推文中对BMS正向研发流程进行介绍，包括系统层面、硬件层面、软件层面的相关内容。
在文末，还将介绍BMS的发展趋势，包括无线BMS和集成动力域控等概念。
BMS正向研发及测试
电池管理系统功能安全可以概括为图示的V字型，主要包括功能安全流程开发和功能安全产品开发。
左半边和设计相关，传统开发一般由系统设计开始，安全目标与需求是由OEM和电池包总成供应商来定义的。而相关项定义，危害分析及风险评估则由BMS配套企业来制定。
在系统设计层面，包括硬件架构，软件架构，技术架构和功能架构。
在设计完成后，对硬件和软件进行测试校核，系统集成测试以及功能安全评估。
概念阶段开发
BMS概念阶段开发的主要步骤包括：
1
相关项定义及边界划分
根据BMS功能定义相关项，并切分相关项边界。
现在主流的做法是将BMS相关的内容都框在一起，包括继电器，绝缘电阻，数据采集，对于内部的热管理通断，对于外部的人机接口，通讯接口，以及自己本身的MCU。图示展示的就是BMS的基本相关项。
明确BMS相关项后，可以进一步通过SEC判断相关项ASIL等级。
2
危害分析和方向评估HARA
通过判断危害程度，也就是电池累计失效，电池单体电压过压等，来评估会导致多严重的一个伤害，以及包容程度和可控程度。
通过这三个指标来定义BMS某个功能失效后，所产生的危害和严重等级。
目前行业内公认的安全目标一般有5个。
3
功能安全目标SG
所谓SG,指的是根据ASIL等级制定Safety Goals。
以上5项内容ASIL等级均为C级。
目前BMS很少能够直接控制电池包的电流值，只能通过CAN总线向VCU发送信号，来限制电池包充放电的功率，同时发送warning信号给仪表提醒驾驶员注意，并在危险情况下切断继电器来截断高压电。
功能安全制定完成后，就可以着手导出功能安全需求。
4
功能安全要求FSR
基于FSR定义,进一步分解至各软硬件接口上。也就是说，每个软硬件接口需要做哪些设计和考量来满足功能安全要求。
5
系统级三层监控设计
第一层QM负责基本功能控制，包括上下电控制和性能控制；
后一层负责安全监控，比如过温，过压，过流，过充，以及其他一些对人体可能产生伤害的风险监控。
第三层是对MCU硬件和APP级的程序都需要进行监控。
6
相关集成测试
集成测试包括每个要素的软硬件集成，系统的相关项的所有要素集成，相关项与整车的集成。
7
功能安全评估
在完成系统级测试后，需要完成功能安全评估，评估相关项所实现的功能安全。
硬件层面
以上图为例，功能安全强调的是对于硬件故障的探测程度和硬件上的冗余，因此，在做硬件功能设计开发的过程中，需要采用一种常规的闭环。
以ASIL A为例，传感器输入信号给控制单元MCU，通过逻辑运算，反馈给执行器进行动作，执行器再反馈信号给控制单元，进行诊断。
以ASIL B为例，就在现有的控制单元MCU基础上，增加独立的监控单元，采用双核设计，在执行器处外加一个与非门，把执行状态反馈回控制单元。
ASIL C的实施方案则是A+B的模式。
硬件层面典型案例
以高压互锁功能为例。
严重性：高压互锁功能用于监测高压回路是否完整，如果功能失效，可能引起高压电暴露，动力回路输出功率下降，甚至会造成连接器烧结等严重后果，未采取安全防护措施的人员可能因接触裸露的极柱或者高压部件导致出点，定义严重性为S3，可产生致命危险。
发生率：正常使用（行驶，停放，充电）时，使用者并不会去触碰高压部件，只有在维护维修时才有可能接触，定义发生率为E2，低的发生概率。
可控性：在电池系统维护维修时，经过培训的操作员，都可以通过基本的防护设备来防止触电，因此定义可控性为C2，正常可控。
因此根据ASIL等级评估表，高压互锁功能的安全等级为ASIL B。
采用ASIL B的实现方案
在执行器前增加“与门”的操作，能够及时断开继电器。BMS需要带有高压互锁信号监测功能，当故障发生时，BMS需要及时上报整车控制器并保存故障内容，整车控制器根据实际情况进行高压电路关断或降低功率使用，并将处理结果返回BMS，同时通过仪表或指示器及时通知驾驶员异常情况，以便及时处理。
软件层面
软件开发流程目前主要遵循V流程。
BMS软件开发同样遵循V流程，首先要明确软件安全的要求，随后进行软件架构设计，再进一步细化，对软件单元进行设计和实现，完成设计部分后，通过对软件单元测试，软件集成测试和软件安全要求等校验步骤，最终完成BMS的软件开发流程。
BMS软件架构采用分层软件架构，参考的是目前各大车企普遍使用的AUTOSAR软件接口进行定义，具有良好的通用性。
BMS的软件相关组件可划分为2类，安全相关和非安全相关，后者部件占比比较大。
这种划分方式即兼顾了ISO26262的流程和方法要求，又可以降低成本和开发复杂度。
功能控制器共分为2层。
第一层主要负责基础功能，包括电池状态估计，热管理，均衡控制和充放电控制等。
第二层功能包括诊断监控功能，监测电压电流和温度信号是否在许可范围内，当前是否允许均衡，散热等指令。
第三层横跨功能控制器和监控控制层，属于硬件监控模块。
软件层面测试
软件层面的测试方法，主要有仿真和系统原型法，其中故障注入注入测试技术是被非常推崇的。
故障注入测试，在系统层面，可以验证在正常操作时没有被调用执行的安全机制测试覆盖，在硬件层面，每个硬件安全机制对应故障的响应分析；在软件层面，必须注入软件故障或硬件组件故障用来测试安全机制。
因此基于故障仿真注入的测试时功能安全系统，硬件和软件阶段重点需要考虑的测试方法。
BMS测试主要包括MIL测试，SIL测试和PIL测试。
一句话简单解释，就是在台架上注入一个故障，通过BMS对故障的诊断时间以及响应时间，来判断是否满足主机厂的要求。
BMS未来发展趋势-无线BMS
目前刀片电池正如火如荼，在刀片电池之后，大家都在考虑BMS是否可以优化为无线BMS。
其优势在于，降低了组装成本，总BMS成本将更低。电池位置摆放更灵活，拥有更好的扩展性。
其困难之处在于，在密闭空间内，尤其是在电池模组比较多的情况下，天线之间电磁场的耦合，会对通信质量产生影响。
BMS未来发展趋势-动力域控制器
另一个发展趋势是，现有的三电控制器可能会与BMS集成在一起，也就是说BMS向动力域控制器集成。
这么做的好处在于更新代码的接口统一，主机厂只要控制这一个动力单元，就能把整个动力域控制住。
此外，还能够带来提升整车动力性最优控制算法开发、降低控制器硬件成本及线束成本等优势。
高压电池管理系统BMS浅析前三篇合集（点击文字进入）
高压电池管理系统BMS浅析 专题一
高压电池管理系统BMS浅析 专题二
高压电池管理系统BMS浅析 专题三
至此，有关高压电池管理系统BMS的介绍就结束了。希望能帮助行业同仁更好地了解新能源汽车的增量零件，为大家的日常工作提供参考和帮助。
审核编辑：刘清